Configuração
A ordem de configuração de um servidor novo e o corte gradual de tráfego para produção.
Com o servidor instalado e saudável, esta é a sequência para configurá-lo com a realidade do cliente e passar o tráfego dos assinantes para ele. É o momento mais sensível da implantação — por isso o corte é sempre gradual e com plano de volta.
Ordem de configuração
A ACL vem primeiro, por segurança.
ACL de recursão — cadastre as faixas de IP dos assinantes. Faça isso antes de divulgar o IP do servidor, para que ele nunca fique aberto à internet.
Zonas próprias, se houver papel autoritativo — cadastre os domínios do provedor, defina primária ou secundária e proteja a transferência com TSIG.
Bloqueio de domínios, se o provedor for usar RPZ — ative as listas e cadastre os bloqueios já existentes, inclusive os de ordem judicial.
Protocolos seguros, se for oferecer DoT, DoH ou DoQ aos assinantes. Emita antes o certificado.
Usuários — crie um usuário nominal para cada pessoa da equipe do cliente. Evite conta compartilhada: a auditoria registra quem fez o quê.
Backup — ative a programação e configure um destino externo. Não deixe para depois.
Validação antes do corte
Antes de mandar qualquer assinante para o servidor novo, confirme que ele responde corretamente:
# resolução normal — deve responder com IP
dig @IP_DO_SERVIDOR www.google.com +short# domínio bloqueado, se houver RPZ — deve responder NXDOMAIN
dig @IP_DO_SERVIDOR dominio-bloqueado-de-teste.com# zona própria, se houver autoritativo
dig @IP_DO_SERVIDOR dominio-do-provedor.com.br SOATeste também a partir de um equipamento dentro da faixa de assinantes cadastrada na ACL.
Um IP fora da ACL deve receber REFUSED; se ele resolver, a ACL está aberta demais e
precisa ser corrigida antes de seguir.
Apontar os assinantes
O DNS é trocado na origem que o entrega ao assinante — na maioria dos provedores é o servidor DHCP ou o concentrador de acesso (BNG/PPPoE), que informa os servidores DNS junto com o endereço IP. Em algumas operações quem entrega é o próprio CPE.
A topologia varia bastante entre provedores. Confirme com a equipe de rede do cliente qual é o ponto exato que entrega o DNS aos assinantes antes de planejar o corte.
O corte é sempre gradual, nunca de uma vez:
Piloto — aponte primeiro um grupo pequeno e controlado (a própria equipe do provedor, ou uma faixa de poucos assinantes). Acompanhe por algumas horas.
Ampliação — havendo estabilidade, libere faixa por faixa, acompanhando o painel a cada etapa.
Conclusão — só aponte a base inteira depois que as etapas anteriores rodarem sem incidente.
A mudança não é instantânea
O assinante só passa a usar o DNS novo quando renova o endereço (lease do DHCP ou reconexão da sessão). Pode levar horas até a base migrar — considere isso ao planejar a janela.
Acompanhar durante o corte
| O que olhar | O que esperar |
|---|---|
| Dashboard | Volume de consultas crescendo e número de clientes ativos subindo conforme os assinantes migram |
| Taxa de acerto do cache | Começa baixa (cache vazio) e sobe nas primeiras horas — é o comportamento esperado |
| REFUSED | Volume relevante vindo de IPs de assinante significa que alguma faixa ficou de fora da ACL. Corrija na hora |
| SERVFAIL | Deve permanecer baixo. Volume anormal merece investigação antes de ampliar o corte |
| Registro de consultas | Confirme que as consultas dos assinantes estão chegando e sendo respondidas |
Plano de retorno
Combine o plano de volta antes de iniciar o corte. Se algo sair errado, o retorno é reverter o endereço de DNS na origem (DHCP ou concentrador) para o servidor anterior.
Como a mudança depende da renovação do endereço pelo assinante, o retorno também não é instantâneo — o que reforça a importância de cortar aos poucos: com um grupo pequeno afetado, o impacto de uma volta é pequeno.
Regra prática
Nunca inicie um corte grande no fim do dia ou na véspera de fim de semana. Corte com equipe disponível para acompanhar.